Платформа биткоин-кошельков LNbits выпустила критическое обновление после волны атак, нацеленных на инсталляции платформы и приведших к краже средств. Проект предупредил, что установки на старых версиях уязвимы, и потребовал от операторов заменить потенциально скомпрометированные учётные данные даже после обновления.
LNbits опубликовала версию 1.7.0 во вторник, описав её как критический релиз, который устраняет уязвимости и усиливает аутентификацию, управление расширениями и обработку платежей. Проект работает на базе технологии платёжного канала Bitcoin Lightning и используется для создания кошельков, платёжных приложений, торговых касс и сервисов чаевых.
«Это были очень тяжелые дни — мы работали без перерыва, чтобы выпустить версию 1.7, после того как наши пользователи и мы сами понесли убытки», — сказал создатель LNbits Бен Арк на платформе X. По его словам из мая прошлого года, программное обеспечение LNbits используют примерно 200 000 человек во всём мире.
Что произошло и как развивались события
LNbits впервые предупредила операторов в воскресенье отключить расширение Paywall во время расследования потенциальной уязвимости. Менее чем через час проект потребовал от пользователей немедленно остановить серверы LNbits из-за волны атак. Также платформа отключила собственные размещённые инсталляции.
Компания пока не раскрыла детали эксплойта и не назвала количество пострадавших. LNbits уточнила, что уязвимость затрагивает все версии ранее 1.7.0 и ставит средства под угрозу кражи. Компания обещала выпустить отдельный отчёт с подробным описанием эксплойта.
Меры безопасности после обновления
Разработчики подчеркнули: одного обновления недостаточно, если учётные данные уже скомпрометированы. Операторам рекомендовано сбросить ключи кошельков, заменить учётные данные источников финансирования, рассматривать все секреты, хранящиеся в параметрах LNbits, как раскрытые, и при необходимости перейти на чистый сервер.
Один из пользователей, Кевин Равенсберг, сообщил, что злоумышленники получили доступ к его инсталляции LNbits и вывели около 2,3 миллиона сатоши (0,023 биткоина) через вновь созданные аккаунты, прежде чем он смог остановить сервер.